Certifications datacenter : lesquelles exiger selon votre secteur
Les pages « conformité » des datacenters alignent les logos. Une certification sérieuse est pourtant tout sauf un logo : c'est un audit tiers, daté, sur un périmètre précis. Voici ce que chacune prouve, et lesquelles exiger selon votre activité.
Estimer mon coût →Ce qu'une certification prouve, et ne prouve pas #
Une certification atteste qu'un organisme indépendant a vérifié des exigences, à une date donnée, sur un périmètre donné. Elle ne dit rien de plus. Trois questions la testent : qui a certifié, quand expire le certificat, et que couvre-t-il exactement, quel site, quel service ?
Le socle généraliste #
- ISO 27001 : le management de la sécurité de l'information ; le standard minimal attendu d'un hébergeur sérieux.
- ISO 50001 : le management de l'énergie ; bon signal d'un site qui pilote réellement son efficacité.
- EN 50600 (et sa déclinaison ISO/IEC 22237) : la norme de conception des datacenters, du bâtiment à l'exploitation.
- ISO 9001 : la qualité en général ; répandue, mais peu discriminante pour choisir un datacenter.
La disponibilité : le cas Tier #
La classification Tier de l'Uptime Institute (I à IV) mesure la redondance et la maintenabilité. Attention au vocabulaire : seul l'Uptime Institute délivre la certification Tier. « Conception de niveau Tier III » ou « Tier III equivalent » sans certificat relève de l'auto-déclaration, sans valeur de preuve. Demandez le certificat, ou jugez sur les faits techniques : redondance N+1 ou 2N, double alimentation, maintenance sans coupure.
Les sectorielles qui décident #
- HDS : l'hébergement de données de santé en France ; sans lui, pas de données de santé.
- SecNumCloud (ANSSI) : le référentiel français des données sensibles, avec immunité aux lois extraterritoriales.
- C5 (BSI) : l'équivalent d'esprit allemand.
- PCI DSS : le paiement par carte ; exigé dès que des données de cartes transitent.
- SOC 2 : le rapport d'audit attendu par les clients et partenaires anglo-saxons.
Prioriser selon votre secteur #
Santé : HDS d'abord, ISO 27001 en socle. Finance et paiement : ISO 27001, PCI DSS, SOC 2. Secteur public et données sensibles : SecNumCloud, ou C5 en Allemagne. Industrie et services : ISO 27001 et un niveau de disponibilité prouvé suffisent souvent, complétés d'ISO 50001 si l'énergie pèse. Inutile de payer pour des certifications que votre activité n'exige pas : chacune a un coût, que le loyer répercute.
Le piège du périmètre #
Le plus courant : un groupe certifié pour UN site ou UN service affiche le logo partout. Vérifiez que le certificat couvre le site où seront vos serveurs et le service que vous achetez. Un certificat expiré ou hors périmètre vaut zéro. Les registres publics des certificateurs permettent la vérification en quelques minutes.
Questions fréquentes #
C'est une auto-déclaration : seul l'Uptime Institute délivre la certification Tier. L'équivalence annoncée peut être réelle techniquement, mais elle n'est pas prouvée. Jugez alors sur les faits : niveaux de redondance, maintenance sans interruption, historique de disponibilité.
C'est un socle plutôt qu'un plafond. Elle prouve un management sérieux de la sécurité, mais ne remplace ni les exigences sectorielles (HDS, PCI DSS) ni la preuve de disponibilité.
Demandez le document, vérifiez la date de validité, le périmètre exact et l'organisme émetteur, puis contrôlez dans le registre public du certificateur. Un exploitant sérieux fournit tout cela sans se faire prier.
Rédigé le 1er septembre 2026.
Passer à la pratique : les datacenters à comparer
Estimer mon coût → Comparer les datacenters